linux网桥模式透明防火墙需在l2工作，不改变网络拓扑：一、建无ip网桥并透传流量；二、启用br_netfilter及sysctl参数使桥接帧进入netfilter；三、用ebtables+iptables/nftables分层过滤，聚焦forward链；四、关闭rp_filter、剥离管理口、启用conntrack日志。

Linux网桥模式下实现透明防火墙，核心是让防火墙工作在数据链路层（L2），不改变原有网络拓扑和IP地址规划，同时具备状态检测、访问控制与流量审计能力。关键在于正确配置网桥、启用iptables/nftables桥接过滤，并关闭干扰项。

一、基础网桥搭建与流量透传

透明防火墙必须让流量“看不见”自身，因此物理接口需绑定为网桥，且不分配IP（或仅管理口配IP）。避免使用传统路由模式，确保二层帧直接转发。

• 用ip link创建网桥（如br0），将内外网物理口（如eth0、eth1）加入网桥，设为UP状态
• 禁用STP（除非接入环形拓扑），防止端口阻塞导致丢包：echo 0 > /sys/class/net/br0/bridge/stp_state
• 确认网桥无IP地址（ip addr show br0输出中不应有inet条目），所有业务流量纯二层透传

二、启用bridge-nf调用，打通netfilter链路

默认情况下，Linux网桥不触发iptables/nftables规则——这是透明防火墙失效的最常见原因。必须显式开启bridge-nf功能，使桥接帧进入netfilter框架。

Linux Ai Server

Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。

下载

• 加载内核模块：modprobe br_netfilter
• 启用关键参数（写入/etc/sysctl.conf并sysctl -p）：
  net.bridge.bridge-nf-call-iptables = 1
  net.bridge.bridge-nf-call-ip6tables = 1
  net.bridge.bridge-nf-call-arptables = 1
• 注意：若系统启用了systemd-networkd或NetworkManager，需确保其不覆盖这些设置

三、基于ebtables + iptables/nftables的分层过滤

透明场景需兼顾MAC层与IP层控制：ebtables处理ARP、VLAN、MAC地址策略；iptables/nftables负责三层及以上深度检测。

• 用ebtables封禁非法MAC、限制ARP泛洪、拦截非授权VLAN标签帧
• iptables规则应聚焦FORWARD链（因流量经网桥后进入此链），禁止在INPUT/OUTPUT链做业务过滤
• 推荐使用nftables替代iptables（更清晰的状态跟踪与桥接支持），定义bridge家族表（nft add table bridge filter），在forward链添加规则
• 务必设置默认策略为DROP，并显式放行必需协议（如ICMPv6邻居发现、DHCP、DNS）

四、加固要点与避坑提示

透明部署易被忽略安全细节，导致旁路失效或性能瓶颈。

• 关闭反向路径校验（rp_filter）：网桥模式下net.ipv4.conf.all.rp_filter=0，否则可能误丢非对称路由流量
• 禁用IPv4/IPv6自动地址配置（如accept_dad、disable_ipv6），防止攻击者伪造邻居通告
• 将管理接口（如单独的eth2）从网桥剥离，绑定独立IP，限制SSH访问源地址+端口+证书登录
• 启用conntrack日志（nf_log_ipv4模块）并配合ulogd，记录连接建立/终止事件，用于审计溯源